strongswan

Обзор Версии Аналитика

Роль StrongSwan

Протестировано на:

Ubuntu 18.04 и 20.04
CentOS 7 и 8
Debian 9 и 10

Эта роль использует синтаксис в стиле swanctl.conf (ссылки на разделы, начиная с версии 5.7.0).

Переменные

Общие

strongswan_swanctl_settings: [обязательно]: Установите все параметры для swanctl.conf

Параметры StrongSwan (сервер|клиенты):

strongswan_swanctl_config_dir: [опционально, по умолчанию: /etc/strongswan/swanctl]: Директория, которая содержит файл конфигурации StrongSwan swanctl.conf
strongswan_swanctl_config_file: [опционально, по умолчанию: {{ strongswan_swanctl_config_dir }}/swanctl.conf]: Имя файла конфигурации StrongSwan swanctl
strongswan_letsencrypt_enable: [опционально, по умолчанию: true]: Подготовка сертификата сервера StrongSwan с помощью Let'sEncrypt
strongswan_firewalld_enable: [опционально, по умолчанию: true]: Установка всех необходимых правил брандмауэра для сервера StrongSwan
strongswan_client: [опционально, по умолчанию: false]: Установка и настройка StrongSwan на клиентах
strongswan_download_cert: [опционально, по умолчанию: false]: Загрузка сертификата StrongSwan с хоста сервера. Должно использоваться с strongswan_letsencrypt_enable = true
strongswan_upload_cert: [опционально, по умолчанию: false]: Загрузка сертификата StrongSwan на клиентов. Должно использоваться с strongswan_letsencrypt_enable = true

Зависимости

geerlingguy.certbot

Переменные

Переменные хоста для сервера StrongSwan:

# Включать переменную ниже только для первого генерации сертификата
certbot_create_if_missing: yes

certbot_certs:
  - email: [email protected]
    domains:
      - "{{ inventory_hostname }}"

certbot_create_standalone_stop_services: []

# Установите настройки конфигурации StrongSwan swanctl
# https://wiki.strongswan.org/projects/strongswan/wiki/UsableExamples
strongswan_swanctl_settings:
  connections:
    ikev2-eap:
      version: 2
      rekey_time:  0s
      fragmentation: yes
      proposals: aes192gcm16-aes128gcm16-prfsha256-ecp256-ecp521,aes192-sha256-modp3072,default
      encap: yes
      pools: primary-pool-ipv4
      dpd_delay: 30s
      local-1:
        certs: cert.pem
        id: myid
      remote-1:
        auth: eap-dynamic
        eap_id: "%any"
      children:
        ikev2-eap:
          local_ts: 0.0.0.0/0,::/0
          rekey_time: 0s
          dpd_action: clear
          esp_proposals = aes192gcm16-aes128gcm16-prfsha256-ecp256-modp3072,aes192-sha256-ecp256-modp3072,default
  pools:
    primary-pool-ipv4:
      addrs: 192.168.252.0/24
  secrets:
    eap-user:
      id: user
      secret: Ar3e73tTnp02

Переменные хоста для carol.strongswan.org:

strongswan_swanctl_settings:
  connections:
    home:
      encap: yes
      vips: 0.0.0.0
      remote_addrs: moon.strongswan.org
      version: 2
      children:
        home:
          remote_ts: 0.0.0.0/0,::/0
          start_action: none
      local:
        auth: eap-aka
        eap_id: carol
      remote:
        auth: pubkey
        id: moon.strongswan.org
  secrets:
    eap-carol:
      id: carol
      secret: Ar3etTnp

Примеры плейбуков

Плейбук для сервера StrongSwan с сертификатами PKI:

- hosts: server
  vars:
    strongswan_letsencrypt_enable: false
  roles:
    - hybridadmin.strongswan

Плейбук для сервера StrongSwan с сертификатами Letsencrypt:

- hosts: server
  vars:
    strongswan_letsencrypt_enable: true
    certbot_certs:
      - email: [email protected]
        domains:
          - vpn.example.com
  roles:
    - hybridadmin.strongswan

Плейбук для клиентов StrongSwan:

- hosts:
    - server
  roles:
    - hybridadmin.strongswan
  vars:
    strongswan_client: true
    strongswan_download_cert: true

- hosts:
    - clients
  roles:
    - hybridadmin.strongswan
  vars:
    strongswan_upload_cert: true